上周三晚上十点多，我收到个读者的私信，字里行间全是慌。
她说自己前阵子在某海外小众护肤品牌的官网买了瓶精华，填了手机号、收货地址，还有清关要用的身份证号。结果付完钱弹出来个半人高的提示框，说为了完成订单，会把她的个人信息传到品牌位于新加坡的服务器上。
她当时脑子“嗡”的一下。
“我是不是信息被卖了？”
“我会不会被境外的骗子盯上？”
其实真不至于。
很多人一听见“个人信息跨境传输”几个字，第一反应就是黑客偷数据、信息倒卖，离自己十万八千里，完全没意识到自己每天刷外网工具、填海淘订单、用海外笔记软件同步数据的行为，早就在这个规则的覆盖范围内了。
你以为的跨境传信息，和法律说的根本不是一回事
很多人对这个概念的误解，从根上就错了。
不是说你主动把自己的身份证照片发给国外的朋友，才算“跨境传输”。法律上对这个事的界定，从来不是看你有没有主动操作，而是看那些能识别到你个人身份的信息——不管是你的姓名、手机号、精准收货地址，还是你的人脸、指纹、行踪轨迹——有没有被境内的运营者传到境外的服务器，或者境外的企业在境内收集到这些信息之后，回传到境外的总部。
哪怕你只是填了个快递地址，数据从国内的清关系统同步到境外品牌的订单后台，这就算。
这里要补一句，不是说只要传了就违法。就像你寄快递要填地址是一样的逻辑，只要这个传输是为了完成你当初找平台办的事，没有超范围拿你的信息干别的，就合规。比如清关要你的身份证号，平台把这个信息传给海关系统，哪怕数据暂时存在境外的临时服务器上，也是为了完成清关流程，没毛病。但要是平台借着这个由头，把你平时浏览什么护肤品、喜欢什么香型的偏好数据，也一股脑传到境外给营销部门做精准广告，那就是越界了。
两个最容易踩的认知误区，我接咨询时听了不下一百次
说真的，我最烦现在很多APP的隐私政策，字比蚂蚁还小，字间距比头发丝还细，点进去全是套话，普通人谁会逐字逐句读？读不明白就容易产生误会，最常见的就两个。
很多人觉得“我没主动点同意跨境传输的按钮，平台就不能传我的信息”。
真不是。有些传输是法定必须的，比如清关环节必须要提交的身份信息，你本来就有配合的义务，这种情况不需要平台额外弹个框让你点同意。但反过来，平台也不能拿“法定要求”当挡箭牌，把和法定要求没关系的信息也顺带着传出去。就像海关只需要你的身份证号核对清关信息，平台总不能把你的购物车记录也一起传给海关吧？那纯属自己加戏。
也有人觉得“所有跨境传个人信息的行为，都要过网信部门的安全评估，没经过评估的全是违法”。
也不对。合规的路径本来就分好几种，不是所有企业都要走最严的那档。比如一年传的个人信息不到十万人，而且不涉及敏感的人脸、医疗信息，只要和境外的接收方签了符合要求的标准合同，去监管部门备个案就行，根本不需要走耗时几个月的安全评估流程。很多小的跨境电商、海外学习平台，走的都是这条路，没必要一竿子打死说人家违法。
真碰到信息乱传的情况，你不用上来就找记者
我见过太多人，一发现自己的信息被传去境外，要么慌的半夜睡不着，要么上来就想找媒体曝光，其实真的没必要这么折腾。有三个成本很低的动作，你自己就能做。
先把你当时注册、提交信息的那个平台的隐私政策翻出来，找到专门讲个人信息跨境提供的那一段，逐字看清楚它写的要传什么信息、传到哪个国家的哪个主体那里、用来干嘛。把你实际提交的信息和它写的范围对一对，要是差的太多——比如你只填了手机号，它说要传你的人脸信息，直接找平台公示的个人信息保护负责人的联系方式投诉就行，现在所有合规平台都必须留这个联系方式，不用跟前台客服绕圈子打太极。
要是平台跟你说“我们所有流程都合规”，你可以直接要求它出示对应的合规证明——是过了安全评估，还是签了标准合同备了案。要是它拿不出来，你也不用跟它掰扯，直接把你提交信息的截图、平台隐私政策的截图整理好，通过12315或者网信部门的公开举报通道提交就行，不用写几百字的小作文，把事实说清楚就够。
要是你发现自己的信息被传到境外之后，隔三差五收到莫名其妙的境外营销短信、诈骗电话，你可以直接在平台的个人信息设置里，申请撤回之前同意跨境传输的授权，要求平台把存在境外服务器上的你的个人信息删掉。法律明确给了你这个权利，不用怕平台以“已经传出去了删不了”为理由搪塞，真删不了的部分，平台也得保证不再随便用。
我去年帮一个读者处理过类似的事，她注册了个境外的设计素材网站，结果隔三差五收到各种海外留学中介的垃圾邮件，最后她找平台申请删除信息，前后也就花了一周多的时间，之后垃圾邮件果然少了大半。
别总觉得这些规则是给企业定的，和你没关系。毕竟那些存在境外服务器上的信息，本质上还是你的东西，你有权利知道它被传到哪、用来干嘛，更有权利在它被乱用时，站出来说不。
本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。